Introdução e descoberta
Relatórios de análise de tráfego e monitoramento em honeypots indicam uma campanha batizada PCPcat que comprometeu mais de 59.000 servidores em menos de 48 horas, explorando vulnerabilidades críticas em implementações Next.js e React (citado CVE-2025-29927 e CVE-2025-66478).
Exploit e mecanismo de execução
A campanha envia payloads JSON especialmente construídos que manipulam a cadeia de protótipo do JavaScript e injetam comandos em funções de execução de processos filhos. O payload demonstrado força a execução de execSync('COMMAND_HERE') no servidor vulnerável, retornando resultados por meio de cabeçalhos de redirecionamento especialmente formatados.
Como a campanha opera / infraestrutura
PCPcat varre aplicações Next.js públicas em lotes (2.000 alvos por batch) com ciclos a cada 30–60 minutos, alcançando alta taxa de sucesso (64,6% segundo os analistas). A infraestrutura de comando e controle operava por meio de um servidor hospedado em Singapura, usando três portas distintas: 666 (distribuição de payloads), 888 (reverse tunnels) e 5656 (controle principal e coleta de dados).
Objetivos pós‑exploração e persistência
Ao comprometer um servidor, a campanha extrai arquivos de ambiente, credenciais em .aws, chaves SSH, arquivos de configuração Docker, e históricos de comandos. Em seguida instala ferramentas como GOST e FRP para estabelecer proxies e túneis reversos que preservam acesso mesmo após mitigação da RCE.
Indicadores e detecção
- Monitorar conexões para 67.217.57.240 nas portas 666, 888 e 5656.
- Procurar por serviços systemd com nomes contendo "pcpcat" ou serviços recém-criados que persistam em múltiplos locais.
- Detectar tráfego de saída incomum que carregue JSON contendo variáveis de ambiente, credenciais ou arquivos de histórico.
Impacto e setores afetados
A escala (59k servidores) sugere impacto significativo em aplicações web que usam Next.js/React expostas publicamente, com risco direto de exfiltração de credenciais cloud e pivot para ambientes de produção ou CI/CD. O relatório não lista vítimas por nome ou setor, mas a técnica é aplicável a qualquer implantação pública vulnerável dessas stacks.
Limitações e o que não foi divulgado
Os dados públicos descrevem infraestrutura observada e amostras de payload, mas não há uma lista exaustiva de alvos nomeados. A atribuição do ator por trás do PCPcat não foi fornecida no material consultado.
Recomendações
Aplicar correções e mitigadores nas bibliotecas/serviços Next.js/React afetados, revisar arquivos de credenciais e chaves em servidores expostos, inspecionar serviços e unit files systemd para persistência, e bloquear a comunicação com os IPs e portas observados até que a infraestrutura seja considerada limpa.
Fontes: investigação publicada pela equipe Beelzebub, análise e relatório resumido no Cyber Security News.